javascript中对象使用push

1 var obj = {
2     ‘1‘:‘a‘,
3     ‘2‘:‘b‘,
4     ‘length‘:2,
5     push:Array.prototype.push
6 }
7 obj.push(‘c‘);

浏览器执行以上脚本后，说法正确的是：
【A】obj 的 length 属性会变为 3;
【B】obj 的 length 属性不会变;
【C】obj3 的值是 c;
【D】obj1 和 2 的值不会发生变化;
【E】obj2 的值是 c;
【F】obj3 的值是 undefined;

选 A、E、F

js Array 的源码
V8
Array.prototype.push的部分：

 1 function ObservedArrayPush() {
 2   var n = TO_UINT32(this.length);
 3   var m = %_ArgumentsLength();
 4
 5   try {
 6     BeginPerformSplice(this);
 7     for (var i = 0; i < m; i++) {
 8       this[i+n] = %_Arguments(i);
 9     }
10     var new_length = n + m;
11     this.length = new_length;
12   } finally {
13     EndPerformSplice(this);
14     EnqueueSpliceRecord(this, n, [], m);
15   }
16
17   return new_length;
18 }
19
20 // Appends the arguments to the end of the array and returns the new
21 // length of the array. See ECMA-262, section 15.4.4.7.
22 function ArrayPush() {
23   CHECK_OBJECT_COERCIBLE(this, "Array.prototype.push");
24
25   if (%IsObserved(this))
26     return ObservedArrayPush.apply(this, arguments);
27
28   var array = TO_OBJECT_INLINE(this);
29   var n = TO_UINT32(array.length);
30   var m = %_ArgumentsLength();
31
32   for (var i = 0; i < m; i++) {
33     array[i+n] = %_Arguments(i);
34   }
35
36   var new_length = n + m;
37   array.length = new_length;
38   return new_length;
39 }

push 方法把值添加到数组中。
push 方法有意具有通用性。该方法和 call() 或 apply() 一起使用时，可应用在类似数组的对象上。push 方法根据 length 属性来决定从哪里开始插入给定的值。如果 length 不能被转成一个数值，则插入的元素索引为 0，包括 length 不存在时。当 length 不存在时，将会创建它。
唯一的原生类数组（array-like）对象是 Strings，尽管如此，它们并不适用该方法，因为字符串是不可改变的。
当调用该方法时，新的 length 属性值将被返回。

所以说，push会根据对象length属性的值去确定插入的位置，即this[i+n] = %_Arguments(i)。
所以在原题中obj.length值为2，调用obj.push("c")时，会发生obj[2]="c"的情况，所以最后 obj[2]就变成了‘c‘，而不是原来的‘b‘。
当然了，push方法最后会根据传入的参数个数多少，即arguments.length来返回new_length，并赋值给obj.length。